三網(wǎng)融合業(yè)務(wù)接入控制方式的研究及實現(xiàn)

標(biāo)簽：PPPoE 三網(wǎng)融合

1 引言

目前，電信運(yùn)營商發(fā)展寬帶接入業(yè)務(wù)主要采用的是PPPoE接入控制，Radius認(rèn)證的方式管理用戶。這種方式采用動態(tài)分配IP地址，對每用戶帶寬進(jìn)行控制，很好地支持了寬帶業(yè)務(wù)的發(fā)展。由于寬帶應(yīng)用業(yè)務(wù)呈現(xiàn)多樣化的發(fā)展趨勢，特別是三網(wǎng)融合試點工作的啟動，IPTV等流媒體業(yè)務(wù)和智能設(shè)備接入應(yīng)用業(yè)務(wù)不同于一般的網(wǎng)頁內(nèi)容推送寬帶業(yè)務(wù)，PPPoE接入方式已不能滿足發(fā)展要求。IPoE接入控制方式不需要安裝客戶端程序，不需要輸入用戶名和密碼，屬于零配置部署，非常適合新型的網(wǎng)絡(luò)終端設(shè)備，如IPTV機(jī)頂盒，WLAN，手持IP終端，視頻監(jiān)控，VoIP等零配置需求的終端。在三網(wǎng)融合的大背景下，IPoE方式提供規(guī)模發(fā)展IPTV業(yè)務(wù)的接入控制解決方案尤其有深遠(yuǎn)意義。目前，主流的接入認(rèn)證控制技術(shù)主要包括PPPoE和IPoE。

2 主流接入認(rèn)證控制方式

2.1 PPPoE認(rèn)證技術(shù)

(l)PPPoE認(rèn)證簡介

PPPoE(PolntoPoilltProtocaloverEtherne)指在以太網(wǎng)上承載PPP協(xié)議，利用以太網(wǎng)將大量的主機(jī)組成網(wǎng)絡(luò)，接入因特網(wǎng)，并對接入的每一個主機(jī)實現(xiàn)控制。PPPoE是在以太網(wǎng)上對PPP的封裝，提供了在以太網(wǎng)廣播鏈路上進(jìn)行點對點通信的能力。PPP協(xié)議通過3個協(xié)議協(xié)商階段：鏈路控制協(xié)議LCP，認(rèn)證協(xié)議(PAP，CHAP)，網(wǎng)絡(luò)控制協(xié)議NCP，解決了鏈路建立、維護(hù)、拆除、上層協(xié)議協(xié)商、認(rèn)證等問題。撥號后，用戶計算機(jī)和局端接入服務(wù)器(BRAS)在LCP階段協(xié)商底層鏈路參數(shù);在認(rèn)證階段將用戶名和密碼發(fā)送給接入服務(wù)器認(rèn)證，接入服務(wù)器可以進(jìn)行本地認(rèn)證，可以通過RadiSS協(xié)議將用戶名和密碼發(fā)送給AAA服務(wù)器進(jìn)行認(rèn)證。認(rèn)證通過后，在NCP(IPCP)協(xié)商階段，接入服務(wù)器給用戶計算機(jī)分配網(wǎng)絡(luò)層參數(shù)(如IP地址等)。經(jīng)過PPP的3個協(xié)商階段成功后，用戶就可以發(fā)送和接受網(wǎng)絡(luò)報文，用戶收發(fā)的所有網(wǎng)絡(luò)層報文都封裝在PPP報文中。PPP協(xié)議具備的身份驗證功能很好地解決了以太網(wǎng)上的用戶安全管理問題。

(2)PPPoE特點

PPPoE認(rèn)證因其標(biāo)準(zhǔn)性、互通性好的特點而被廣泛應(yīng)用，商用成熟;PPPoE認(rèn)證撥號軟件與主流的PC操作系統(tǒng)可以良好地兼容，或已經(jīng)內(nèi)置于操作系統(tǒng)中;PPPoE通過惟一的Session-ID可以很好地保障用戶的安全性，被廣泛應(yīng)用于寬帶接入認(rèn)證。

PPPoE的認(rèn)證機(jī)制相對復(fù)雜，對設(shè)備處理性能。內(nèi)存資源要求較高，而且用戶需要一個認(rèn)證的等待過程。因PPPoE終結(jié)于BRAS，BRAS與主機(jī)之問通過PPP建立起來的大量點到點的連接，所經(jīng)過的交換機(jī)不能識別PPPoE報文格式，只能迸行轉(zhuǎn)發(fā)，無法迸行針對VLAN等信息的組播復(fù)制，使組播復(fù)制點只能選擇在BRAS設(shè)備上。BRAS設(shè)備暴露出的局限性無法滿足寬帶多媒體業(yè)務(wù)迅速發(fā)展的需求。

2.2 IPoE認(rèn)證技術(shù)

(1)IPoE認(rèn)證簡介

IPoE利用DHCPOPTION信息實現(xiàn)了業(yè)務(wù)終端的零配置部署。IPoE既能通過元須用戶名和密碼的方式即可實現(xiàn)認(rèn)證和自動配置，也可以通過DHCP+Web方式實現(xiàn)基于用戶名和密碼的認(rèn)證。

DHCP是指動態(tài)主機(jī)配置協(xié)議，通過DHCP客戶端，利用自動發(fā)現(xiàn)機(jī)制嘗試與DHCP服務(wù)器建立通信。DHCP提供IP配置參數(shù)，對用戶端的IP層進(jìn)行配置。DHCP協(xié)議沒有認(rèn)證的功能，但可以配合其他技術(shù)實現(xiàn)認(rèn)證，比如DHCP+Web方式，DHCP+客戶端方式和利用DHCP+OPTION擴(kuò)展宇段進(jìn)行認(rèn)證。這些方式都統(tǒng)稱為DHCP+認(rèn)證?，F(xiàn)討論的主要是DHCP+OPTION擴(kuò)展字段進(jìn)行認(rèn)證，又稱為IPoE認(rèn)證方式。用作DHCP擴(kuò)展的OPTION字段主要為OPTION60(RFC2132)和OPTION82(RFC3046)。其中，OPTION60中帶有Vendor和Service Option信息，是用戶終端發(fā)起DHCP請求時攜帶的信息，網(wǎng)絡(luò)設(shè)備只需透傳即可。其作用是用來識別用戶終端類型，進(jìn)而識別用戶業(yè)務(wù)類型，DHCP服務(wù)器可以據(jù)此分配不同的業(yè)務(wù)IP地址。OPTION82信息是由網(wǎng)絡(luò)設(shè)備插入在終端發(fā)出的DHCP報文中，主要用來標(biāo)識用戶終端的接入位置，實現(xiàn)用戶和線路的精確綁定，保證了DHCP接入的安全性和真實性，DHCP OPTION82信息可以由DHCPSnooPing或DHCPRelay設(shè)備進(jìn)行插入。

作為IPoE客戶端的用戶終端設(shè)備，產(chǎn)生DHCP消息，中間設(shè)備插入各種DHCP Option進(jìn)行用戶綁定，業(yè)務(wù)綁定等。BRAS或SR等寬帶網(wǎng)絡(luò)網(wǎng)關(guān)控制設(shè)備(Broadband Network Gatewny)負(fù)責(zé)DHCP消息到Radius認(rèn)證消息的翻譯。與Radius進(jìn)行認(rèn)證、授權(quán)、計費(fèi)功能。認(rèn)證通過后，下放Radius返回的每用戶QoS，訪問控制的列表等功能，同時對通過設(shè)備的流量/時長進(jìn)行計費(fèi)。Radius等IPoE業(yè)務(wù)控制系統(tǒng)，能夠動態(tài)調(diào)整每用戶的帶寬和QoS屬性，提供基于預(yù)付費(fèi)、流量、時長等多種計費(fèi)手段。對用戶管理控制，并提供差異化的服務(wù)。

(2)IPo的認(rèn)證特點

·基于用戶物理位置(VLANyVCID標(biāo)示)的認(rèn)證和計費(fèi)，連接網(wǎng)絡(luò)時不需輸入用戶名和密碼，對于永遠(yuǎn)在線的應(yīng)用和不愿意輸入用戶名和密碼的用戶非常適合。

·DHCP+(option60/Option82)對DHCP協(xié)議進(jìn)行了擴(kuò)展，增加了安全(防DoS攻擊及地址仿冒)、監(jiān)控、用戶識別等特性。與Radius相結(jié)合提供計費(fèi)功能，便于運(yùn)營。

·組播部署靈活，可高效實現(xiàn)組播復(fù)制，井把組播復(fù)制點下移至小區(qū)交換機(jī)、DSLAM等網(wǎng)絡(luò)末梢。減輕網(wǎng)絡(luò)壓力，節(jié)約接入網(wǎng)的帶寬。

門IPoE認(rèn)證的安全措施

IPoE認(rèn)證沒有像PPPoE認(rèn)證那樣在網(wǎng)絡(luò)層面提供惟一的點到點的通信機(jī)制，運(yùn)營商在部署IPoE認(rèn)證時，要重點關(guān)注安全問題。網(wǎng)絡(luò)各層面的設(shè)備通過協(xié)同工作，增強(qiáng)網(wǎng)絡(luò)的安全性。具體的安全保障措施如下：

·防地址欺騙

DHCP屬于數(shù)據(jù)和認(rèn)證分離的控制方式，安全性不及PPPoE，為防止用戶靜態(tài)配置IP地址，或者網(wǎng)絡(luò)盜用，可以在接入設(shè)備或者業(yè)務(wù)路由器上部署MAC+IP綁定功能。啟用DHCP Snooping或DHCP Relay的節(jié)點，在偵聽到DHCP Offer消息時，生成IP和MAC的綁定關(guān)系，只有源MAC和IP匹配的IPoE幀才可以通過，否則丟棄。這樣只有經(jīng)過DHCP認(rèn)證的用戶才可以得到網(wǎng)絡(luò)服務(wù)，未經(jīng)認(rèn)證，或者靜態(tài)配置IP地址的終端不能得到服務(wù)。還可以基于OPTION82信息對用戶的線路號進(jìn)行識別認(rèn)證來保證安全性。

·用戶終端數(shù)限制通過系統(tǒng)將每個業(yè)務(wù)接入點連接的用戶終端數(shù)量進(jìn)行限制。

·防DOS攻擊